跳到主要内容

4. 安全考虑 (Security Considerations)

中文导读: 本节对应 RFC 9902 的 4. 安全考虑 (Security Considerations) 部分, 对应文档标题为 4-6. 安全考虑, IANA 考虑, 参考文献. 下方若包含英文 RFC 原文, 注册表名称, 字段名, 算法名, 对象标识符, 媒体类型, 邮箱地址, URL, 代码, ABNF, ASN.1, YANG, JSON, XML, 测试向量或参考文献条目, 均按规范原样保留, 因为这些内容需要与 RFC 文本, IANA 注册表, 实现代码或验证工具逐字一致. 中文段落用于说明本节的作用, 阅读重点和实现含义, 不改变任何协议语义或注册值.

本页包含的英文术语大多是协议标识符, 字段名, 章节名, 算法名或标准化缩写. 这些词在实现和互操作测试中通常按英文出现, 因此保留原文. 中文说明用于补足上下文, 帮助读者理解该节与整体协议行为, 安全边界, 部署约束或数据模型之间的关系.

本节参照 [YANG-GUIDE] 第 3.7 节描述的模板编写.

"ietf-isis-sr-mpls" YANG 模块定义的数据模型设计为通过基于 YANG 的管理协议访问, 例如 NETCONF [RFC6241] 和 RESTCONF [RFC8040]. 这些基于 YANG 的管理协议 (1) 必须使用安全传输层, 例如 SSH [RFC4252], TLS [RFC8446] 和 QUIC [RFC9000], 且 (2) 必须使用相互认证.

网络配置访问控制模型 (Network Configuration Access Control Model, NACM) [RFC8341] 提供了一种机制, 可将特定 NETCONF 或 RESTCONF 用户的访问限制在所有可用 NETCONF 或 RESTCONF 协议操作和内容的预配置子集内.

可写数据节点 (Writable Data Nodes)​

该 YANG 模块定义了若干可写/可创建/可删除的数据节点, 即 "config true", 这也是默认值. 在某些网络环境中, 所有可写数据节点都可能是敏感的或易受攻击的. 如果没有适当保护或认证, 对这些数据节点执行写操作 (例如 edit-config) 和删除操作可能会对网络运行产生负面影响. 以下子树和数据节点具有特别的敏感性/脆弱性:

  • /isis:isis/segment-routing
  • /isis:isis/protocol-srgb
  • /isis:isis/isis:interfaces/isis:interface/segment-routing
  • /isis:isis/isis:interfaces/isis:interface/isis:fast-reroute/ti-lfa

禁用或启用 IS-IS SR 支持以及/或者更改 SR 配置的能力可能导致拒绝服务 (Denial-of-Service, DoS) 攻击, 因为这可能造成流量被丢弃或错误路由. 有关 SR 扩展的更多信息, 请参见 [RFC8667] 第 5 节.

可读数据节点 (Readable Data Nodes)​

该 YANG 模块中的某些可读数据节点在某些网络环境中可能被视为敏感或易受攻击. 因此, 控制这些数据节点的读访问非常重要, 例如通过 get, get-config 或 notification. 具体而言, 以下子树和数据节点具有特别的敏感性/脆弱性:

  • /isis:router-capabilities/sr-capability
  • /isis:router-capabilities/sr-algorithms
  • /isis:router-capabilities/local-blocks
  • /isis:router-capabilities/srms-preference
  • 以及对 IS-IS LSDB 的扩展.

未经授权访问这些子树中的任何数据节点, 都可能泄露设备上 IS-IS 协议的运行状态信息.

不存在特别敏感的 RPC 或 action 操作.

5. IANA 考虑 (IANA Considerations)

IANA 已在 "IETF XML Registry" [RFC3688] 中分配了一个新的 URI:

URI:  urn:ietf:params:xml:ns:yang:ietf-isis-sr-mpls
Registrant Contact:  The IESG.
XML:  N/A; the requested URI is an XML namespace

本文档还在 "YANG Module Names" 注册表 [RFC6020] 中注册了一个新的 YANG 模块名称:

Name:  ietf-isis-sr-mpls
Maintained by IANA?  N
Namespace:  urn:ietf:params:xml:ns:yang:ietf-isis-sr-mpls
Prefix:  isis-sr-mpls
Reference:  RFC 9902

6. 参考文献 (References)

6.1. 规范性引用 (Normative References)​

6.2. 资料性引用 (Informative References)​

最后于 更新